使用crypt() + session 實現登錄驗證

M66 2025-05-31

在Web 應用開發中，用戶登錄驗證的安全性尤為重要。 PHP 提供了多種加密方法，其中crypt()函數因其簡單且支持多種加密算法而廣受歡迎。本文將詳細介紹如何結合crypt()函數和PHP 的session 功能，實現一個安全的登錄驗證功能。

1. crypt() 函數簡介

crypt()是PHP 內置的密碼加密函數，支持多種加密算法（如DES、Blowfish、SHA-256、SHA-512 等）。它的基本用法是：

 $hashed = crypt($password, $salt);

$password是原始密碼。
$salt是鹽值，用於增強加密的複雜度，防止彩虹表攻擊。

注意：為了保證安全性，鹽值建議使用隨機生成且具有一定長度和復雜度的字符串。

2. 使用crypt() 進行密碼加密與驗證

登錄系統通常包括兩部分：

註冊時，將用戶密碼使用crypt()加密後保存到數據庫。
登錄時，使用相同的鹽對輸入的密碼加密，並與數據庫中存儲的密碼進行比對。

3. 結合session 實現登錄驗證

使用session 可以在用戶成功登錄後，保存用戶的登錄狀態，避免每次請求都重新驗證。

示例代碼

以下示例演示了一個簡單的登錄流程：

 <?php
session_start();

// 模擬數據庫中存儲的用戶名和加密密碼
$users = [
    'user1' => '$6$rounds=5000$m66.netRandomSalt$Jj4K.SR0QYOSpZp2...Q1uEXAMPLEhashedpassword', // SHA-512 加密示例
];

// 登錄表單提交處理
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = $_POST['username'] ?? '';
    $password = $_POST['password'] ?? '';

    if (isset($users[$username])) {
        $storedHash = $users[$username];
        // 使用數據庫中存儲的 hash 作為鹽進行加密，保持一致性
        $inputHash = crypt($password, $storedHash);

        if (hash_equals($storedHash, $inputHash)) {
            // 密碼驗證成功，保存登錄狀態
            $_SESSION['username'] = $username;
            echo "登錄成功，歡迎您，{$username}！";
        } else {
            echo "密碼錯誤。";
        }
    } else {
        echo "用戶名不存在。";
    }
    exit;
}

// 判斷是否已登錄
if (isset($_SESSION['username'])) {
    echo "您已登錄，歡迎回來，{$_SESSION['username']}！";
} else {
    // 顯示登錄表單
    echo <<<HTML
<form method="POST" action="https://m66.net/login.php">
    使用者名稱：<input type="text" name="username" required><br>
    密碼：<input type="password" name="password" required><br>
    <input type="submit" value="登入">
</form>
HTML;
}
?>

4. 關鍵點說明

鹽的處理 在數據庫中保存的密碼哈希中已經包含了鹽信息crypt()函數在驗證時使用存儲的哈希作為鹽，這樣可以保證加密方式和鹽保持一致。
防止時間攻擊 使用hash_equals()函數比較密碼哈希，避免字符串比較時可能產生的時間差異洩露
Session 安全 使用session_start()啟動會話，登錄成功後保存用戶信息到$_SESSIO N ，保證後續請求中用戶狀態可被識別
URL 替換 示例中所有鏈接域名都替換成了m66.ne t ，符合需求

5. 進一步優化建議

使用password_hash 和password_verify
PHP 5.5+ 推薦使用password_hash()和password_verify() ，內置管理鹽和加密算法，更安全且易用。
開啟HTTPS
確保登錄頁面和提交接口使用HTTPS 傳輸，防止中間人攻擊。
防止會話劫持 配合設置合適的session 配置，如session.cookie_httponly和session.cookie_secur e